Azure identitáskezelési és hozzáférés-vezérlési ajánlott eljárások

Ez a cikk Azure identitáskezelési és hozzáférés-vezérlési biztonsági ajánlott eljárások gyűjteményét ismerteti. Ezek az ajánlott eljárások Microsoft Microsoft Entra ID és ügyfelek tapasztalataiból származnak.

Ez a cikk megfelel a Microsoft Teljes felügyelet biztonsági modelljének, amely elsődleges biztonsági szegélyként kezeli az identitást, és minden hozzáférési kéréshez explicit ellenőrzést igényel. Az Azure Policy kényszerítéseket használó, előíró biztonsági vezérlőkért lásd Microsoft Cloud Biztonsági teljesítményteszt 2. v2 – Identity Management című témakört.

Ez a Azure identitáskezeléssel és hozzáférés-vezérléssel kapcsolatos ajánlott eljárásokról szóló cikk konszenzusos véleményen, Azure platformképességeken és a cikk írásakor létező funkciókészleteken alapul.

Ez a cikk általános úti térképet ad a telepítés utáni erősebb biztonsági helyzethez, amelyet az "5 lépés az identitás-infrastruktúra védelméhez" ellenőrzőlista vezet, amely néhány alapvető funkción és szolgáltatáson keresztül vezet.

A vélemények és a technológiák idővel változnak. Ez a cikk rendszeresen frissül, hogy tükrözze ezeket a változásokat.

Azure cikkben tárgyalt ajánlott identitáskezelési és hozzáférés-vezérlési biztonsági eljárások a következők:

  • Kezelje az identitást elsődleges biztonsági szegélyként.
  • Az identitáskezelés központosítása.
  • Csatlakoztatott bérlők kezelése.
  • Egyszeri bejelentkezés engedélyezése.
  • Kapcsolja be a feltételes hozzáférést.
  • Tervezze meg a rendszeres biztonsági fejlesztéseket.
  • Jelszókezelés engedélyezése.
  • Többtényezős ellenőrzés kényszerítése a felhasználók számára.
  • Szerepköralapú hozzáférés-vezérlés használata.
  • A kiemelt fiókok alacsonyabb kitettsége.
  • Az erőforrások helyének szabályozása.
  • Tárhitelesítéshez használja a Microsoft Entra ID.

Identitás kezelése elsődleges biztonsági szegélyként

Sokan az identitást tartják a biztonság elsődleges szegélyének. Ez a változás eltér a hagyományos hálózati biztonságra való fókusztól. A hálózati peremek egyre átmososabbá válnak, és ez a peremvédelem nem lehet olyan hatékony, mint a BYOD eszközök és felhőalkalmazások robbanása előtt.

Microsoft Entra ID az identitás- és hozzáférés-kezelés Azure megoldása. Microsoft Entra ID a Microsoft több-bérlős, felhőalapú címtár- és identitáskezelési szolgáltatása. Egyetlen megoldásban egyesíti az alapvető címtárszolgáltatásokat, az alkalmazáshozzáférés-kezelést és az identitásvédelmet.

Az alábbi szakaszok az identitás- és hozzáférés-biztonság ajánlott eljárásait sorolják fel Microsoft Entra ID használatával.

  • A felhasználói és szolgáltatási identitások biztonsági vezérlőinek és észleléseinek központba rendezése: A Microsoft Entra ID használatával rendezhet vezérlőket és identitásokat.

Identitáskezelés központosítása

Hibrid identitással integrálhatja a helyszíni és a felhőbeli címtárakat. Az integráció lehetővé teszi, hogy az informatikai csapat egy helyről kezelje a fiókokat, függetlenül a fiók létrehozásának helyétől. Az integráció azzal is segíti a felhasználókat, hogy közös identitást biztosítanak a felhőbeli és a helyszíni erőforrások eléréséhez.

  • Hozzon létre egyetlen Microsoft Entra példányt. A konzisztencia és az egyetlen mérvadó forrás növeli az egyértelműséget, és csökkenti az emberi hibákból és a konfiguráció összetettségéből eredő biztonsági kockázatokat: Egyetlen Microsoft Entra könyvtárat jelöljön ki a vállalati és szervezeti fiókok mérvadó forrásaként.

  • Integrálja a helyszíni címtárakat a Microsoft Entra ID: A Microsoft Entra Connect használatával szinkronizálhatja a helyszíni címtárat a felhőbeli címtárral.

Megjegyzés:

A Microsoft Entra Connect teljesítményét számos tényező befolyásolja. Győződjön meg arról, hogy Microsoft Entra Csatlakozás elegendő kapacitással rendelkezik ahhoz, hogy az alulteljesítő rendszerek ne akadályozzák a biztonságot és a termelékenységet. A nagy vagy összetett szervezeteknek, például a 100 000-nél több objektumot kezelő szervezeteknek a Microsoft Entra Connect implementációjuk optimalizálása érdekében követniük kell az ajánlásokat.

  • Ne szinkronizálja azokat a fiókokat Microsoft Entra ID, amelyek magas jogosultságokkal rendelkeznek a meglévő Active Directory-példányban: Az alapértelmezett Microsoft Entra Csatlakozás konfiguráció csak a beépített rendszergazdai fiókot (RID 500) zárja ki. Más kiemelt jogosultságú fiókok, például a tartományi rendszergazdák és a vállalati rendszergazdák védelméhez használjon szervezeti egységalapú szűrést vagy attribútumalapú szűrést , hogy kizárja őket a szinkronizálásból. Ez a konfiguráció csökkenti annak kockázatát, hogy a támadók a felhőből a helyszíni eszközökre forduljanak, ami jelentős incidenst okozhat.

  • Jelszókivonat-szinkronizálás bekapcsolása: A jelszókivonat-szinkronizálás a felhasználói jelszókivonatok helyi Active Directory-példányról felhőalapú Microsoft Entra-példányra való szinkronizálására szolgál. Ez a szinkronizálás segít megvédeni a kiszivárgott hitelesítő adatokat a korábbi támadásoktól.

    Ha úgy dönt, hogy összevonást használ Active Directory összevonási szolgáltatások (AD FS) (AD FS) vagy más identitásszolgáltatókkal, akkor is beállíthat jelszókivonat-szinkronizálást biztonsági mentésként, ha a helyszíni kiszolgálók meghibásodnak vagy ideiglenesen elérhetetlenné válnak. Ez a szinkronizálás lehetővé teszi, hogy a felhasználók ugyanazzal a jelszóval jelentkezzenek be a szolgáltatásba, amelyet a helyi Active Directory-példányba való bejelentkezéshez használnak. Az Identity Protection emellett lehetővé teszi a sérült hitelesítő adatok észlelését a szinkronizált jelszókivonatok és az ismerten feltört jelszavak összehasonlításával, ha a felhasználó ugyanazt az e-mail-címet és jelszót használta a Microsoft Entra ID nem csatlakoztatott szolgáltatásokban.

    További információért lásd: A jelszókivonat-szinkronizálás megvalósítása a Microsoft Entra Connect Sync használatával.

  • Új alkalmazásfejlesztéshez használja a Microsoft Entra ID hitelesítéshez: A hitelesítés támogatásához használja az alábbi képességeket.

    • Microsoft Entra ID alkalmazottaknak.
    • Microsoft Entra B2B-t vendégfelhasználók és külső partnerek számára.
    • Microsoft Entra Külső ID szabályozni, hogy az ügyfelek hogyan regisztráljanak, jelentkezzenek be és kezeljék a profiljukat az alkalmazások használatakor.

Azok a szervezetek, amelyek nem integrálják helyszíni identitásukat a felhőbeli identitásukkal, nagyobb terhelést jelenthetnek a fiókok kezelése során. Ez a többletterhelés növeli a hibák és a biztonsági incidensek valószínűségét.

Megjegyzés:

Válassza ki azokat a címtárakat, amelyekben kritikus fontosságú fiókok találhatók, és hogy az új felhőszolgáltatások vagy a meglévő folyamatok kezelik-e a rendszergazdai munkaállomást. A meglévő felügyeleti és identitáskiépítési folyamatok csökkenthetik a kockázatokat. Emellett annak a kockázatát is növelhetik, hogy egy támadó feltör egy helyben üzemeltetett fiókot, majd onnan továbblép a felhőbe. Érdemes lehet más stratégiát használni a különböző szerepkörökhöz, például az informatikai rendszergazdákhoz és az üzleti egység rendszergazdáihoz. Két lehetősége van. Az első lehetőség az helyi Active Directory-példánysal nem szinkronizált Microsoft Entra fiókok létrehozása. Csatlakoztassa a rendszergazdai munkaállomást a Microsoft Entra ID-hez, amelyet a Microsoft Intune használatával kezelhet és frissíthet. A második lehetőség a meglévő rendszergazdai fiókok használata a helyi Active Directory-példány szinkronizálásával. A Active Directory tartomány meglévő munkaállomásait használhatja a felügyelethez és a biztonsághoz.

Csatlakoztatott bérlők kezelése

A biztonsági szervezetnek láthatóságra van szüksége a kockázatok felméréséhez és annak megállapításához, hogy a szervezet betartja-e a szabályzatait és a szabályozási követelményeket. Győződjön meg arról, hogy a biztonsági szervezet rálátással rendelkezik az összes olyan előfizetésre, amely az éles környezetéhez és hálózatához kapcsolódik (Azure ExpressRoute vagy site-to-site VPN használatával). A Microsoft Entra ID Global-rendszergazda emelheti a hozzáférését a Felhasználói hozzáférés-rendszergazda szerepkörhöz, és láthatja a környezethez csatlakoztatott összes előfizetést és felügyelt csoportot.

Annak biztosításához, hogy Ön és a biztonsági csoport megtekintheti a környezethez csatlakoztatott összes előfizetést vagy felügyeleti csoportot, olvassa el a Hozzáférés emelése az összes Azure előfizetés és felügyeleti csoport kezeléséhez című témakört. A kockázatok felmérése után távolítsa el ezt az emelt szintű hozzáférést.

Egyszeri bejelentkezés engedélyezése

A mobil első, felhőbeli világban bárhonnan engedélyezheti az egyszeri bejelentkezést (SSO) az eszközökre, alkalmazásokra és szolgáltatásokra, hogy a felhasználók bárhol és bármikor hatékonyan tudjanak dolgozni. Ha több identitásmegoldást kell kezelni, ez a helyzet nemcsak az IT számára, hanem azoknak a felhasználóknak is, akiknek több jelszót kell megjegyezniük, adminisztratív problémává válik.

Ha ugyanazt az identitásmegoldást használja az összes alkalmazáshoz és erőforráshoz, SSO-t érhet el. A felhasználók ugyanazokkal a hitelesítő adatokkal jelentkezhetnek be és férhetnek hozzá a szükséges erőforrásokhoz, függetlenül attól, hogy az erőforrások a helyszínen vagy a felhőben találhatók.

  • Egyszeri bejelentkezés engedélyezése: A Microsoft Entra ID kiterjeszti a helyszíni Active Directoryt a felhőbe. A felhasználók használhatják az elsődleges munkahelyi vagy iskolai fiókjukat a tartományhoz csatlakoztatott eszközeikhez, vállalati erőforrásaikhoz, valamint az összes olyan webes és SaaS-alkalmazáshoz, amelyet el kell végezniük. A felhasználóknak nem kell több felhasználónevet és jelszót megjegyezniük. Az alkalmazáshozzáférés automatikusan kiépíthető vagy megszüntethető a szervezeti csoporttagságuk és alkalmazotti állapotuk alapján. Ezt a hozzáférést a katalógusalkalmazásokhoz vagy a saját helyszíni alkalmazásokhoz is szabályozhatja, amelyeket a Microsoft Entra alkalmazásproxyn keresztül fejlesztett ki és tett közzé.

Az egyszeri bejelentkezéssel engedélyezheti a felhasználók számára a SaaS-alkalmazások elérését a Microsoft Entra ID munkahelyi vagy iskolai fiókja alapján. Ez a képesség nemcsak a Microsoft SaaS alkalmazásaira vonatkozik, hanem más alkalmazásokra is, mint például a Google Apps és a Salesforce. Az alkalmazást úgy konfigurálhatja, hogy a Microsoft Entra ID SAML-alapú azonosítószolgáltatóként használja. Biztonsági ellenőrzésként a Microsoft Entra ID nem ad ki olyan tokent, amely lehetővé teszi a felhasználók számára, hogy bejelentkezzenek az alkalmazásba, hacsak a Microsoft Entra ID nem biztosít hozzáférést. A hozzáférést közvetlenül vagy a felhasználókat tartalmazó csoporton keresztül is engedélyezheti.

Azok a szervezetek, amelyek nem hoznak létre közös identitást az egyszeri bejelentkezés létrehozásához a felhasználók és az alkalmazások számára, jobban ki vannak téve azoknak a forgatókönyveknek, amelyekben a felhasználók több jelszóval rendelkeznek. Ezek a forgatókönyvek növelik annak a valószínűségét, hogy a felhasználók újra felhasználják a jelszavakat, vagy gyenge jelszavakat használnak.

A feltételes hozzáférés bekapcsolása

A felhasználók bárhonnan különböző eszközökkel és alkalmazásokkal férhetnek hozzá a szervezet erőforrásaihoz. Rendszergazdaként győződjön meg arról, hogy ezek az eszközök megfelelnek a biztonsági és megfelelőségi szabványoknak. Már nem elegendő csak arra koncentrálni, hogy ki férhet hozzá egy erőforráshoz.

A biztonság és a termelékenység egyensúlyának érdekében fontolja meg, hogy a felhasználók hogyan férnek hozzá egy erőforráshoz, mielőtt döntenének a hozzáférés-vezérlésről. Microsoft Entra Feltételes hozzáférés ezt a követelményt kezeli. A feltételes hozzáférés automatikus hozzáférés-vezérlési döntéseket hozhat a felhőalkalmazásokhoz való hozzáférés feltételei alapján.

  • Vállalati erőforrásokhoz való hozzáférés kezelése és szabályozása: Általános Microsoft Entra feltételes hozzáférési szabályzatok konfigurálása csoport-, hely- és alkalmazásérzékenység alapján SaaS-alkalmazások és Microsoft Entra ID csatlakoztatott alkalmazások esetében.

  • Régi hitelesítési protokollok letiltása: A támadók naponta kihasználják a régebbi protokollok gyengeségeit, különösen a jelszópermet-támadások esetén. Konfigurálja a feltételes hozzáférést az örökölt protokollok letiltásához.

Rendszeres biztonsági fejlesztések tervezése

A biztonság mindig fejlődik. Fontos, hogy kialakítsunk egy módszert a növekedés rendszeres bemutatására, és új módszereket fedezünk fel a környezet felhőbeli és identitáskezelési keretrendszerbe való biztonságossá tételéhez.

Az Identity Secure Score olyan ajánlott biztonsági vezérlők készlete, amelyeket Microsoft közzétenni, hogy numerikus pontszámot biztosítson, amely méri a biztonsági helyzetet, és segít a jövőbeli biztonsági fejlesztések megtervezésében. A pontszámot a más iparágakban lévőkhöz és a saját trendjeihez képest is megtekintheti az idő függvényében.

  • Tervezze meg a rutinalapú biztonsági felülvizsgálatokat és fejlesztéseket az iparág ajánlott eljárásai alapján: Az Identity Secure Score funkcióval rangsorolhatja a fejlesztéseket az idő függvényében.

Jelszókezelés engedélyezése

Ha több bérlővel rendelkezik, vagy engedélyezni szeretné, hogy a felhasználók visszaállítsák a saját jelszavukat, használjon megfelelő biztonsági házirendeket a visszaélések megelőzésére.

  • Állítsa be az önkiszolgáló jelszó-visszaállítást (SSPR) a felhasználók számára: Használja a Microsoft Entra ID önkiszolgáló jelszó-visszaállítási funkciót.

  • Az SSPR használatának figyelése: Monitorozza a regisztráló felhasználókat a Microsoft Entra ID jelszó-visszaállítási regisztrációs tevékenység jelentésével. Az Microsoft Entra ID által biztosított jelentéskészítési funkció előre összeállított jelentések használatával segít megválaszolni a kérdéseket. Ha megfelelő licenccel rendelkezik, egyéni lekérdezéseket is létrehozhat.

  • Felhőalapú jelszóházirendek kiterjesztése a helyszíni infrastruktúrára: A jelszóházirendek továbbfejlesztése a szervezeten belül ugyanazokkal a helyszíni jelszómódosításokkal, mint a felhőalapú jelszómódosítások esetében. Telepítse Microsoft Entra jelszóvédelem a helyszíni Windows Server Active Directory ügynökök számára a tiltott jelszólisták meglévő infrastruktúrára való kiterjesztéséhez. A jelszavak helyszíni módosítását, beállítását vagy alaphelyzetbe állítását végző felhasználóknak és rendszergazdáknak ugyanazzal a jelszóházirenddel kell rendelkezniük, mint a csak felhőalapú felhasználóknak.

Többtényezős ellenőrzés kényszerítése a felhasználók számára

Többtényezős hitelesítést (MFA) igényel az összes felhasználó számára. Ide tartoznak a rendszergazdák és a szervezet más tagjai, akik jelentős hatással lehetnek a fiókjuk feltörése esetén, például a pénzügyi tisztviselőkre.

Fontos

Kötelező MFA-kényszerítés: 2025. október 1-jétől Azure kényszeríti a kötelező MFA-kényszerítés 2. fázisát. Ez a fázis erős hitelesítést igényel az összes Azure szolgáltatásfelhasználó számára, beleértve a parancssori felületet (CLI), a PowerShellt, a Azure mobilalkalmazást, az infrastruktúra kódként (IaC) eszközöket és a REST API-végpontokat a létrehozási, frissítési vagy törlési műveletekhez. Ez a kényszerítés jelentősen javítja az identitásbiztonságot azáltal, hogy nagy léptékben semlegesíti az ellopott hitelesítő adatokat. Microsoft kutatások azt mutatják, hogy az MFA több mint 99,2% fióksértő támadást blokkolhat. További információ: A kötelező többtényezős hitelesítés megtervezése Azure.

Az adathalászatnak ellenálló MFA-módszerek rangsorolása

Az adathalászatnak ellenálló hitelesítési módszerek, például a FIDO2 biztonsági kulcsok, a kulcsok, a Vállalati Windows Hello és a tanúsítványalapú hitelesítés a legerősebb védelmet nyújtják a kifinomult támadások ellen. Ezek a módszerek hardverrel támogatott kriptográfiai kulcsokat használnak, amelyeket a támadók nem tudnak elfogni vagy újrajátszani. A Microsoft azt javasolja, hogy az adathalászhatóság-ellenes MFA-t vezess be az identitásbiztonság alapjaként. Útmutatásért tekintse meg az adathalászatnak ellenálló jelszó nélküli hitelesítés üzembe helyezésének megtervezését ismertető témakört.

Többtényezős hitelesítésre több lehetőség is létezik. A legjobb megoldás a céloktól, a futtatott Microsoft Entra kiadástól és a licencelési programtól függ. A legjobb megoldás meghatározásához tekintse meg a felhasználó kétlépéses ellenőrzésének megkövetelése című témakört. A licenc és a díjszabás részleteiért tekintse meg a Microsoft Entra díjszabási oldalát.

Az alábbi lehetőségek és előnyök segíthetnek a többtényezős hitelesítés engedélyezésében.

1. lehetőség: Az MFA engedélyezése Microsoft Entra biztonsági alapértelmezett beállításokkal

Engedélyezze az MFA-t az összes felhasználó és bejelentkezési módszer számára Microsoft Entra biztonsági alapértékek használatával.

Ez az opció segít gyorsan érvényesíteni az MFA-t minden felhasználó számára a környezetedben, egy szigorú szabályzat alkalmazásával, amelyekhez szükséges:

  • Rendszergazdai fiókok és rendszergazdai bejelentkezési módszerek megtámadása.
  • A Microsoft Authenticatoron keresztüli MFA-hitelesítési kérés megkövetelése minden felhasználó számára.
  • Az örökölt hitelesítési protokollok korlátozása.

Ez a módszer minden licenci szint számára elérhető, de nem keverhető a meglévő feltételes hozzáférési szabályzatokkal. További információ: Microsoft Entra biztonsági beállítások.

2. lehetőség: Többtényezős hitelesítés engedélyezése a felhasználói állapot módosításával

A többtényezős hitelesítés engedélyezése a felhasználói állapot módosításával a kétlépéses ellenőrzés hagyományos módszere. Ez a módszer mind a Microsoft Entra multifaktoros hitelesítéssel működik a felhőben, mind az Azure Multifaktoros Hitelesítési szerverrel. Ez a módszer megköveteli, hogy a felhasználók minden bejelentkezéskor kétlépéses ellenőrzést végezzenek, és felülbírálják a feltételes hozzáférési szabályzatokat.

Annak megállapításához, hogy hol kell engedélyezni a többtényezős hitelesítést, olvassa el a Microsoft Entra többtényezős hitelesítés melyik verziója megfelelő a szervezetem számára?

3. lehetőség: Többtényezős hitelesítés engedélyezése feltételes hozzáférési szabályzat használatával

Ha feltételes hozzáférési szabályzattal engedélyezi a többtényezős hitelesítést , a feltételes hozzáférés használatával kétlépéses ellenőrzést kérhet meghatározott feltételek mellett. Bizonyos feltételek lehetnek a felhasználók bejelentkezése különböző helyekről, nem megbízható eszközökről vagy olyan alkalmazásokból, amelyeket kockázatosnak tart. Ha olyan konkrét feltételeket határoz meg, ahol kétlépéses ellenőrzésre van szükség, elkerülheti a felhasználók folyamatos kérését, ami kellemetlen felhasználói élmény lehet.

Ez a lehetőség a legrugalmasabb módja annak, hogy kétlépéses hitelesítést engedélyezz a felhasználók számára. A feltételes hozzáférési szabályzatok csak Microsoft Entra többtényezős hitelesítéshez működnek a felhőben, és a Microsoft Entra ID prémium funkciója. A módszerről további információt a felhőalapú Microsoft Entra többtényezős hitelesítés üzembe helyezése című témakörben talál.

4. lehetőség: Többtényezős hitelesítés engedélyezése kockázatalapú feltételes hozzáférési szabályzatok használatával

Többtényezős hitelesítés engedélyezése feltételes hozzáférési szabályzatok használatával a kockázatalapú feltételes hozzáférési szabályzatok kiértékeléséhez.

Ez a beállítás a következőket teszi lehetővé:

  • Észlelje a szervezet identitásait érintő lehetséges biztonsági réseket.
  • Automatikus válaszokat konfigurálhat a szervezet identitásaihoz kapcsolódó gyanús műveletek észleléséhez.
  • Vizsgálja meg a gyanús incidenseket, és tegyen megfelelő lépéseket a megoldásuk érdekében.

Ez a módszer a Microsoft Entra ID-védelem kockázatértékelést használja annak meghatározására, hogy a felhasználóknak kétlépéses ellenőrzést kell végezniük a felhasználói és bejelentkezési kockázat alapján minden felhőalkalmazásnál. Ez a módszer Microsoft Entra ID P2-licencelést igényel. A metódussal kapcsolatos további információkért lásd a Microsoft Entra ID-védelem.

Megjegyzés:

A 2. lehetőség, amely engedélyezi a többtényezős hitelesítést a felhasználói állapot módosításával, felülbírálja a feltételes hozzáférési szabályzatokat. Mivel a 3. és a 4. lehetőség feltételes hozzáférési szabályzatokat használ, nem használhatja velük a 2. lehetőséget.

Felhasználó-alapú szolgáltatásfiókok migrálása munkaterhelési azonosítókra

Egyes szervezetek a Microsoft Entra ID-ben használt felhasználói fiókokat szolgáltatási fiókként automatizáláshoz. A kötelező MFA bevezetése során fontos, hogy át kell állítani ezeket a felhasználóalapú szolgáltatásfiókokat biztonságos felhőalapú szolgáltatásfiókokra, amelyek számítási feladat-azonosítókat használnak. A számítási feladatok identitásai, beleértve a felügyelt identitásokat és a szolgáltatásneveket, automatizálási forgatókönyvekhez vannak tervezve, és nem igényelnek MFA-t. Ezek az identitások biztonságosabb és kezelhetőbb megoldást nyújtanak. A migrálással kapcsolatos útmutatásért lásd: Bejelentkezés az Azure-ba felügyelt identitással az Azure CLI használatával és Bejelentkezés az Azure PowerShellbe nem interaktív módon automatizálási forgatókönyvekhez.

Azok a szervezetek, amelyek nem adnak hozzá további identitásvédelmi rétegeket, például többtényezős hitelesítést, érzékenyebbek a hitelesítő adatok ellopására irányuló támadásokra. A hitelesítő adatokkal kapcsolatos lopási támadások adatmegsértéshez vezethetnek.

Szerepköralapú hozzáférés-vezérlés használata

A felhőbeli erőforrások hozzáférés-kezelése kritikus fontosságú minden olyan szervezet számára, amely a felhőt használja. Azure szerepköralapú hozzáférés-vezérlés (Azure RBAC) segítségével kezelheti, hogy kinek van hozzáférése Azure erőforrásokhoz, mit tehetnek ezekkel az erőforrásokkal, és mely területekhez férhetnek hozzá.

Az Azure adott funkcióiért felelős csoportok vagy egyéni szerepkörök kiosztása segít elkerülni azokat a félreértéseket, amelyek biztonsági kockázatokat okozó emberi és automatizálási hibákhoz vezethetnek. A hozzáférés ismerete és aminimális jogosultsági biztonsági alapelvek alapján történő korlátozása elengedhetetlen azon szervezetek számára, amelyek biztonsági szabályzatokat szeretnének kikényszeríteni az adathozzáféréshez.

A biztonsági csapatnak átláthatóságra van szüksége a Azure-erőforrásokban a kockázatok felméréséhez és elhárításához. Ha a biztonsági csapatnak operatív felelőssége van, több engedélyre van szükségük a munkájuk elvégzéséhez.

A Azure RBAC használatával engedélyeket rendelhet hozzá a felhasználókhoz, csoportokhoz és alkalmazásokhoz egy adott hatókörben. A szerepkör-hozzárendelés hatóköre lehet előfizetés, erőforráscsoport vagy egyetlen erőforrás.

  • Elkülönítheti a feladatokat a csapaton belül, és csak azt a hozzáférést biztosíthatja a felhasználóknak, amelyhez a feladataik elvégzéséhez szükségük van. Ahelyett, hogy mindenki számára korlátlan engedélyeket adnának az Azure-előfizetésben vagy -erőforrásokban, csak bizonyos műveleteket engedélyezhet egy adott hatókörben: A Azure Azure beépített szerepkörök használatával rendelhet jogosultságokat a felhasználókhoz.

Megjegyzés:

A konkrét engedélyek szükségtelen összetettséget és zavart okoznak, és egy "örökség-konfigurációvá" halmozódnak fel, amelyet nehéz kijavítani anélkül, hogy félne valami elrontásától. Kerülje az erőforrás-specifikus engedélyeket. Ehelyett használjon felügyeleti csoportokat a nagyvállalati szintű engedélyekhez és az erőforráscsoportokhoz az előfizetéseken belüli engedélyekhez. Kerülje a felhasználóspecifikus engedélyeket. Ehelyett rendeljen hozzá hozzáférést a csoportokhoz Microsoft Entra ID.

  • Hozzáférést biztosíthat a Azure felelősségi körökkel rendelkező biztonsági csapatoknak, hogy láthassák Azure erőforrásokat, hogy felmérhessék és elháríthassák a kockázatokat: A biztonsági csapatoknak Azure RBAC biztonsági olvasó szerepkört kell biztosítaniuk. A felelősségi köröktől függően használhatja a gyökérszintű felügyeleti csoportot vagy a szegmenskezelési csoportot.

    • Az összes vállalati erőforrásért felelős csapatok gyökérszintű felügyeleti csoportja.
    • Szegmenskezelési csoport korlátozott hatókörű csoportokhoz, például szabályozási vagy egyéb szervezeti határokhoz.

  • Adja meg a megfelelő engedélyeket a közvetlen üzemeltetési feladatokkal rendelkező biztonsági csapatoknak: Tekintse át a Azure beépített szerepköröket a megfelelő szerepkör-hozzárendeléshez. Ha a beépített szerepkörök nem felelnek meg a szervezet adott igényeinek, létrehozhat Azure egyéni szerepköröket. A beépített szerepkörökhöz hasonlóan egyéni szerepköröket is hozzárendelhet a felhasználókhoz, csoportokhoz és szolgáltatásnevekhez az előfizetés, az erőforráscsoport és az erőforrás-hatókörök esetében.

  • Adjon hozzáférést Microsoft Defender for Cloud a szükséges biztonsági szerepkörökhöz. Defender for Cloud segít a biztonsági csapatoknak gyorsan azonosítani és orvosolni a kockázatokat: Biztonsági csapatokat vehet fel az ilyen igényekkel rendelkező Azure RBAC Security Admin szerepkörbe, hogy megtekinthesse a biztonsági szabályzatokat, megtekintheti a biztonsági állapotokat, szerkesztheti a biztonsági szabályzatokat, megtekintheti a riasztásokat és a javaslatokat, valamint elutasíthatja a riasztásokat és javaslatokat. Használd a root menedzsment csoportot vagy a szegmensmenedzsment csoportot, a felelősségi körtől függően.

Azok a szervezetek, amelyek nem kényszerítik ki az adathozzáférés-vezérlést olyan képességekkel, mint Azure RBAC, a szükségesnél több jogosultságot adhatnak a felhasználóknak. Ez a hozzáférés adatvédelmi kompromittáláshoz vezethet, mivel lehetővé teszi a felhasználók számára, hogy olyan típusú adatokhoz férjenek, például nagy üzleti hatású adatokhoz, amelyekhez nem szabadna hozzáférniük.

A kiemelt fiókok alacsonyabb kitettsége

A kiemelt hozzáférés biztosítása kritikus fontosságú első lépés az üzleti eszközök védelme szempontjából. A biztonságos információkhoz vagy erőforrásokhoz hozzáféréssel rendelkező személyek számának minimalizálása csökkenti annak az esélyét, hogy egy rosszindulatú felhasználó hozzáférést kap, vagy ha egy jogosult felhasználó véletlenül érint egy bizalmas erőforrást.

A kiemelt fiókok olyan fiókok, amelyek informatikai rendszereket felügyelnek és kezelnek. A kibertámadások célja, hogy hozzáférjenek a szervezet adataihoz és rendszereihez. A privilegizált hozzáférés biztosításához izolálja a fiókokat és rendszereket a rosszindulatú felhasználó kockázatától.

Dolgozzon ki és kövesse az ütemtervet a kibertámadások elleni emelt szintű hozzáférés biztosításához. A Microsoft Entra ID, Microsoft Azure, Microsoft 365 és más felhőszolgáltatásokban felügyelt vagy jelentett identitások és hozzáférések biztonságossá tételéhez szükséges részletes ütemterv létrehozásáról további információt a hibrid és felhőbeli környezetek kiemelt hozzáférésének biztosítása a Microsoft Entra ID-ban című témakörben talál.

Az alábbiakban a a Microsoft Entra ID „Privilegizált hozzáférés biztosítása hibrid és felhőalapú telepítésekhez” dokumentumban található legjobb gyakorlatokat foglaljuk össze:

  • Kiemelt fiókokhoz való hozzáférés kezelése, szabályozása és figyelése: Kapcsolja be a Microsoft Entra Privileged Identity Management. Miután bekapcsolod a Privileged Identity Management-et, értesítési e-maileket kapsz a privileged access szerepváltoztatásokról. Ezek az értesítések korai figyelmeztetést nyújtanak, amikor több felhasználó kap kiemelt jogosultságú szerepkört a címtárában.

  • Győződjön meg arról, hogy az összes kritikus adminisztrátori fiók Microsoft Entra által kezelt fiók: Távolítsa el a kritikus adminisztrátori szerepkörökből a személyes fiókokat, például a hotmail.com, live.com és outlook.com címmel rendelkező Microsoft-fiókokat.

  • Biztosítsd minden, hogy minden kritikus adminisztrátori szerepnek külön fiókja legyen az adminisztratív feladatokhoz, hogy elkerüld a adathalászati és egyéb támadásokat, amelyek veszélyeztetik az adminisztratív jogosultságokat: Hozz létre egy külön adminisztrátori fiókot, amelyhez a szükséges jogosultságokat kapjuk. Tiltsa le ezeknek a felügyeleti fiókoknak a használatát a napi hatékonyságnövelő eszközökhöz, például Microsoft 365 e-mailekhez vagy tetszőleges webböngészéshez.

  • Azonosítsa és kategorizálja a kiemelt szerepkörökben lévő fiókokat: A Microsoft Entra Privileged Identity Management bekapcsolása után tekintse meg a globális rendszergazda, a kiemelt szerepkörök rendszergazdája és más kiemelt szerepkörök felhasználóit. Távolítsa el azokat a fiókokat, amelyekre már nincs szükség ezekben a szerepkörökben. Kategorizálja a rendszergazdai szerepkörökhöz rendelt többi fiókot.

    • Egyénileg adminisztratív felhasználókhoz rendelve, és nem adminisztratív célokra is elérhető, például személyes e-mail esetén.
    • Egyénileg hozzárendelve a rendszergazda felhasználókhoz, és csak rendszergazdai célokra van kijelölve.
    • Több felhasználó között megosztva.
    • Vészhelyzeti hozzáférési forgatókönyvek esetén.
    • Automatizált szkriptekhez.
    • Külső felhasználók számára.

  • Vezesse be az „éppen időben történő” (JIT) hozzáférést a jogosultságok kitettségi idejének további csökkentése és a kiemelt jogosultságokkal rendelkező fiókok használatára való jobb rálátás érdekében: a Microsoft Entra Privileged Identity Management a következő műveletek végrehajtásában segít.

    • Korlátozza a felhasználókat, hogy csak a jogosultságaikat használják a JIT-re.
    • Rövidített időtartamú szerepköröket rendelhet hozzá úgy, hogy a jogosultságok automatikusan vissza lesznek vonva.

  • Definiáljon legalább két vészhelyzeti hozzáférési fiókot: A segélyhívási hozzáférési fiókok segítségével a szervezetek korlátozhatják a jogosultsági hozzáférést egy meglévő Microsoft Entra környezetben. Ezek a fiókok kiemelt jogosultságokkal rendelkeznek, és nincsenek meghatározott személyekhez rendelve. A vészhozzáférési fiókok olyan esetekre korlátozódnak, ahol a normál rendszergazdai fiókok nem használhatók. A szervezeteknek csak a szükséges időre kell korlátozniuk a segélyhívási fiók használatát.

Értékelje ki a globális rendszergazdai szerepkörhöz hozzárendelt vagy jogosult fiókokat. Ha a vészhelyzeti hozzáféréshez szánt *.onmicrosoft.com tartomány használatával nem jelennek meg csak felhőben létező fiókok, hozza létre őket. További információért tekintse meg a Microsoft Entra ID vészhelyzeti hozzáférési rendszergazdai fiókok kezelését.

A bejelentkezéskor Microsoft Entra többtényezős hitelesítés megkövetelése minden olyan egyéni felhasználó számára, aki véglegesen hozzárendelt egy vagy több Microsoft Entra rendszergazdai szerepkörhöz: globális rendszergazda, kiemelt szerepkör-rendszergazda, Exchange Online rendszergazda és SharePoint online rendszergazda. Engedélyezd a többfaktoros hitelesítést adminisztrátori fiókjaidhoz , és biztosítsd az adminisztrátor fiók felhasználóinak regisztrációját.

Ha nem biztosít kiemelt hozzáférést, előfordulhat, hogy túl sok felhasználója van magas jogosultsági szintű szerepkörökben, és sebezhetőbb a támadásokkal szemben. A rosszindulatú szereplők, beleértve a kiber támadókat is, gyakran a rendszergazdai fiókokat és a kiemelt hozzáférés egyéb elemeit célják meg, hogy hitelesítő adatok ellopásával hozzáférjenek a bizalmas adatokhoz és rendszerekhez.

Az erőforrások létrehozásának helyeinek szabályozása

Fontos, hogy a felhőszolgáltatók el tudjanak végezni feladatokat, ugyanakkor megakadályozzák a szervezet erőforrásainak kezeléséhez szükséges konvenciók megszegését. Azoknak a szervezeteknek, amelyek szabályozni szeretnék az erőforrások létrehozásának helyét, szigorúan be kell kódolniuk ezeket a helyeket.

A Azure Resource Manager használatával olyan biztonsági szabályzatokat hozhat létre, amelyek definíciói az általuk elutasított műveleteket vagy erőforrásokat ismertetik. Ezeket a szabályzatdefiníciókat a kívánt hatókörhöz rendelheti, például az előfizetéshez, az erőforráscsoporthoz vagy egy egyéni erőforráshoz.

Megjegyzés:

A biztonsági szabályzatok nem azonosak Azure RBAC-vel. A biztonsági szabályzatok Azure RBAC használatával engedélyezik a felhasználóknak ezen erőforrások létrehozását.

Azok a szervezetek, amelyek nem szabályozzák az erőforrások létrehozásának módját, érzékenyebbek azokra a felhasználókra, akik a szükségesnél több erőforrás létrehozásával visszaélhetnek a szolgáltatással. Az erőforrás-létrehozási folyamat megkeményedése fontos lépés a több-bérlős forgatókönyvek biztonságossá tételéhez.

Gyanús tevékenységek aktív figyelése

Az aktív identitásfigyelő rendszer gyorsan észleli a gyanús viselkedést, és riasztást indít el a további vizsgálathoz. Az alábbi lista Microsoft Entra képességeket tartalmaz, amelyek segíthetnek a szervezeteknek az identitásaik monitorozásában:

  • Van egy módszer a gyanús bejelentkezési tevékenységek azonosítására: Figyelheti a nyomkövetés nélküli bejelentkezési kísérleteket, találgatásos támadásokat egy adott fiók ellen, több helyről való bejelentkezést, fertőzött eszközökről való bejelentkezéseket és gyanús IP-címeket. Microsoft Entra ID P1 vagy P2 anomalía-jelentések használata. Legyenek kidolgozott folyamatok és eljárások, amelyek lehetővé teszik az informatikai rendszergazdák számára, hogy napi rendszerességgel vagy igény szerint futtassák ezeket a jelentéseket (általában válaszintézkedés során).

  • Olyan aktív monitorozási rendszerrel rendelkezik, amely értesíti Önt a kockázatokról, és a kockázati szintet (magas, közepes vagy alacsony) az üzleti igényeihez igazíthatja: Használja a Microsoft Entra ID-védelem, amely megjelöli az aktuális kockázatokat a saját irányítópultján, és naponta összefoglaló értesítéseket küld e-mailben. A szervezet identitásának védelme érdekében olyan kockázatalapú szabályzatokat konfigurálhat, amelyek automatikusan reagálnak a észlelt kockázatokra, amikor elérik a meghatározott kockázati szintet.

Azok a szervezetek, amelyek nem figyelik aktívan az identitásrendszerüket, fennáll a veszélye annak, hogy a felhasználói hitelesítő adatok sérülnek. Anélkül, hogy a gyanús tevékenységek ezeken a hitelesítő adatokon keresztül történnek, a szervezetek nem tudják enyhíteni az ilyen típusú fenyegetéseket.

Microsoft Entra ID használata tárhitelesítéshez

Azure Storage támogatja a hitelesítést és az engedélyezést a Blob Storage és a Queue Storage esetében a Microsoft Entra ID segítségével. A Microsoft Entra-hitelesítés használatával az Azure-beli szerepköralapú hozzáférés-vezérlés segítségével konkrét engedélyeket adhat a felhasználóknak, csoportoknak és alkalmazásoknak, akár egyetlen blobtároló vagy üzenetsor hatókörében is.

Ha lehetséges, az Azure Storage-hoz irányuló kérelmek engedélyezéséhez használja a Microsoft Entra ID-t felügyelt identitásokkal.

Következő lépések

  • Utolsó frissítés időpontja: